In der EU stark eingeschränkt, in Indien im Grossbetrieb: Europas Gesichtserkennungsexport

Was die Recherche aufgedeckt hat

Eine grenzüberschreitende Recherche von Investigate Europe, The Reporters’ Collective und InfoLibre beschreibt, wie die in Barcelona ansässige Herta Security zu einem wichtigen Softwarelieferanten für indische Gesichtserkennungsprojekte geworden ist. Herta bestätigte gegenüber den Recherchepartnern, dass seine Technologie in Indien eingesetzt wird, nannte wegen vertraulicher Kundenbeziehungen jedoch keine vollständige Projektliste.12

Nach Angaben eines indischen Geschäftspartners sollen inzwischen mehr als 4'000 Kameras mit Herta-Technologie betrieben werden. Diese Zahl ist eine Schätzung aus dem Partnernetzwerk und keine öffentlich geprüfte Gesamtstatistik. Deutlich besser belegt ist der Ausbau bei Eastern Railway: Die indische Bahngesellschaft meldete im Januar 2025, dass 540 Gesichtserkennungssysteme an 143 Bahnhöfen installiert und vollständig in Betrieb seien.3

So funktioniert die Überwachung im Alltag

Herkömmliche Videoüberwachung zeichnet Szenen auf, die später von Menschen ausgewertet werden. Gesichtserkennung verändert dieses Prinzip: Die Software erkennt Gesichter in einem laufenden Videostream, berechnet daraus biometrische Merkmale und vergleicht diese mit Bildern in einer Datenbank. Wird ein Ähnlichkeitsschwellenwert überschritten, erzeugt das System einen Trefferhinweis.

Hertas Produkt BioSurveillance NEXT ist nach Herstellerangaben für die gleichzeitige Identifikation in grossen und dynamischen Menschenmengen ausgelegt. In Marketingunterlagen wird mit Echtzeitsuchen gegen Datenbanken von bis zu 100 Millionen Personen geworben. Eine solche Kapazität sagt jedoch nichts darüber aus, wie präzise ein konkretes System unter realen Bedingungen arbeitet – Kameraqualität, Winkel, Licht, Distanz, Datenbankqualität und gewählte Schwellenwerte beeinflussen das Ergebnis erheblich.4

Bahnhöfe als Testfeld für Gesichtserkennung im grossen Massstab

Besonders weitreichend ist der Einsatz im indischen Bahnnetz. Die Recherche beschreibt ein 2022 vergebenes Videoüberwachungsprojekt für Hunderte Bahnhöfe in Ostindien. Der Auftrag hatte laut Vertragsunterlagen einen Wert von rund 11,5 Millionen Euro; die Gesichtserkennungsschicht soll mit Herta-Software betrieben werden. Das Gesamtprogramm von Eastern Railway umfasst 392 Bahnhöfe in mehreren Divisionen.5

Am Bahnhof Howrah in Kolkata passieren nach Angaben der Recherche täglich rund eine Million Menschen das Gelände. Etwa 100 Live-Kameras sollen dort Eingänge, Ausgänge, Bahnsteige, Essbereiche und Wartesäle abdecken. Das System vergleicht erfasste Gesichter unter anderem mit Fotos gesuchter Verdächtiger, Straftäter und vermisster Personen. Ob am Bahnhof Howrah tatsächlich Herta-Software eingesetzt wird, konnten die Journalisten nicht abschliessend bestätigen.

Ein kleiner Fehleranteil wird bei Millionen Menschen zum grossen Problem

Bei einem Zugangssystem mit wenigen registrierten Personen kann ein Fehlalarm lästig sein. Bei einem Bahnhof mit Hunderttausenden oder Millionen Reisenden kann derselbe Fehleranteil dagegen viele unschuldige Menschen markieren. Die EU-Kommission warnt selbst davor, dass bereits eine Fehlerquote von 0,1 Prozent bei grossen Populationen erhebliche Auswirkungen haben kann.6

Hinzu kommt, dass Gesichtserkennungsalgorithmen nicht bei allen Personengruppen gleich gut funktionieren. Untersuchungen des US-amerikanischen National Institute of Standards and Technology zeigen für viele – aber nicht alle – getesteten Algorithmen demografische Unterschiede bei Falschpositiven. Besonders relevant sind solche Fehler bei sogenannten One-to-many-Suchen, weil eine einzelne Aufnahme gegen eine grosse Beobachtungsliste geprüft wird und ein falscher Treffer zu einer Kontrolle oder Verdächtigung führen kann.7

Laut Internet Freedom Foundation erklärte die Polizei von Delhi 2022, Übereinstimmungen ab 80 Prozent Ähnlichkeit als positive Identifikationen zu behandeln. Öffentlich unklar bleibt bei vielen Systemen, wie Beobachtungslisten zusammengestellt werden, wie lange biometrische Daten gespeichert bleiben und wie Betroffene gegen einen falschen Treffer vorgehen können.8

Was «in der EU verboten» tatsächlich bedeutet

Die zugespitzte Formulierung, die Technologie sei in der EU «verboten», ist nur teilweise korrekt. Der AI Act verbietet nicht pauschal Gesichtserkennungssoftware, Kameras oder deren Export. Verboten ist grundsätzlich eine bestimmte Anwendung: die biometrische Echtzeit-Fernidentifikation durch Strafverfolgungsbehörden in öffentlich zugänglichen Räumen.9

Es gibt enge Ausnahmen – etwa die gezielte Suche nach entführten oder vermissten Personen, die Abwehr einer konkreten und unmittelbaren terroristischen Gefahr sowie die Identifikation von Verdächtigen bestimmter schwerer Straftaten. Solche Einsätze müssen notwendig und verhältnismässig sein und benötigen grundsätzlich eine vorherige Genehmigung durch eine Justiz- oder unabhängige Verwaltungsbehörde.

Der Unterschied ist entscheidend: Herta darf innerhalb Europas weiterhin Lösungen für zulässige Einsatzfelder entwickeln und anbieten. Das Unternehmen schloss 2026 zudem ein spanisches AI-Regulatory-Sandbox-Verfahren ab und erklärte, öffentliche Projekte innerhalb der erlaubten AI-Act-Ausnahmen rechtskonform umsetzen zu können. Der Konflikt entsteht dort, wo dieselbe technische Fähigkeit in Drittstaaten wesentlich breiter eingesetzt wird.10

Indiens Datenschutzrecht ist neuer – aber kein Gegenstück zum AI Act

Die ursprüngliche Recherche beschreibt Indien als Staat ohne umfassendes Datenschutzgesetz in Kraft. Diese Aussage benötigt inzwischen eine Präzisierung: Die indische Regierung notifizierte im November 2025 die Digital Personal Data Protection Rules und setzte den DPDP Act gestaffelt in Gang. Der Aufbau der Datenschutzbehörde und einzelne Bestimmungen sind bereits wirksam, während zentrale Pflichten über Übergangsfristen von bis zu 18 Monaten eingeführt werden.11

Der rechtliche Unterschied liegt also weniger darin, ob überhaupt ein Datenschutzgesetz existiert, sondern darin, welche staatlichen Überwachungspraktiken ausdrücklich begrenzt werden, wie unabhängig die Kontrolle ist und ob Betroffene erfahren können, dass sie auf einer Liste stehen oder fälschlich erkannt wurden.

Der Nirbhaya Fund: Frauensicherheit als Begründung für Überwachungsinfrastruktur

Ein Teil des Bahnüberwachungsprogramms wird über den Nirbhaya Fund finanziert. Der Fonds entstand nach der tödlichen Gruppenvergewaltigung einer jungen Frau in Delhi im Jahr 2012 und sollte Massnahmen zur Sicherheit und Unterstützung von Frauen finanzieren. Das indische Frauen- und Kinderministerium erklärte im März 2025, rund 76 Prozent der bereitgestellten Fondsmittel seien genutzt worden; finanziert wurden unter anderem Notrufsysteme, Frauenhilfeschalter, forensische Labore und Videoüberwachung.12

Frauenrechtsorganisationen kritisieren, dass grosse Summen in Polizei-, Kontroll- und Kamerainfrastruktur fliessen, während Schutzunterkünfte, Rechtsberatung, Krisenzentren und direkte Unterstützung weiterhin zu wenig Ressourcen erhielten. Investigate Europe berechnete anhand indischer Regierungsdaten, dass ungefähr die Hälfte der bis Anfang 2024 bewilligten Mittel in Überwachung und Polizeifunktionen floss, gegenüber etwa 31 Prozent für direkte Unterstützungsangebote und Notrufdienste.

Ob Kameras die Sicherheit von Frauen messbar verbessert haben, ist nicht eindeutig belegt. Überwachung kann bei der Aufklärung einzelner Taten helfen oder gesuchte Personen erkennen. Sie adressiert jedoch nur begrenzt Gewalt, die im privaten Umfeld stattfindet oder von bekannten Personen ausgeht. Der politische Streit dreht sich deshalb nicht nur um Datenschutz, sondern auch um die Frage, welche Sicherheitsmassnahmen tatsächlich wirken.

EU-Förderung und Export: ein regulatorischer Doppelstandard?

Besonders brisant ist die öffentliche Finanzierung. Investigate Europe kommt bei der Auswertung europäischer Forschungsprogramme auf mehr als 3,3 Millionen Euro Förderung für Herta seit 2020. Das grösste einzelne Vorhaben, FUTURE, erhielt demnach zwischen 2022 und 2024 rund 2,36 Millionen Euro und sollte unter anderem Menschenmengen analysieren sowie ungewöhnliche Aktivitäten und potenzielle Gefahren erkennen.

Herta weist den Vorwurf zurück, EU-Gelder würden konkrete indische Installationen finanzieren. Forschungserkenntnisse könnten zwar in Methoden und Produkt-Roadmaps einfliessen, die Förderung werde aber nicht zur Finanzierung, zum Betrieb oder zur Subventionierung einzelner kommerzieller Einsätze in Indien verwendet. Das Unternehmen betont zudem, seine Produkte würden nach europäischen Datenschutzprinzipien entwickelt; auf die konkrete Implementierung durch Behörden und Systemintegratoren habe es jedoch keinen vollständigen Einfluss.

Europas Regeln schützen Menschen innerhalb der EU vergleichsweise stark. Sie beantworten aber nur begrenzt, welche Verantwortung europäische Anbieter für dieselben Fähigkeiten in Staaten mit schwächeren Kontrollen tragen.

Der AI Act ist primär ein Markt- und Nutzungsrecht für Systeme, die in der EU bereitgestellt oder verwendet werden. Das europäische Dual-Use-Regime kennt zwar Kontrollen für bestimmte Cyberüberwachungsgüter und kann unter Umständen auch nicht gelistete Produkte erfassen, ein generelles Exportverbot für Gesichtserkennung, die im EU-Inland unzulässig eingesetzt würde, besteht daraus jedoch nicht automatisch.13

Was Politik und Beschaffer aus dem Fall lernen sollten

Gesichtserkennung kann legitime Zwecke erfüllen – etwa die gezielte Suche nach vermissten Menschen oder die nachträgliche Analyse eines konkreten Tatorts. Problematisch wird sie, wenn aus einer gezielten Suche eine dauerhafte biometrische Kontrolle ganzer Bevölkerungsgruppen wird. Je grösser die Reichweite, desto wichtiger sind überprüfbare Grenzen.

• Klare gesetzliche Einsatzgrenzen: Wer darf Echtzeit-Gesichtserkennung wann und für welche Straftaten anordnen?
• Unabhängige Genehmigung: Grossflächige Live-Suchen sollten nicht allein durch die betreibende Behörde freigegeben werden.
• Offene Watchlist-Regeln: Herkunft, Aufnahmekriterien, Löschfristen und Datenqualität müssen überprüfbar sein.
• Messbare Genauigkeit: Beschaffer benötigen unabhängige Tests für reale Kameras, Lichtverhältnisse, Bevölkerungsgruppen und Datenbankgrössen.
• Menschliche Prüfung: Ein Algorithmustreffer darf nicht automatisch als Identitätsnachweis oder Schuldbeleg behandelt werden.
• Beschwerde und Korrektur: Betroffene brauchen einen realistischen Weg, falsche Einträge und Fehlidentifikationen anzufechten.
• Menschenrechtsprüfung beim Export: Anbieter und Förderstellen sollten nicht nur die Technik, sondern auch Kunde, Zweck und Rechtsumfeld bewerten.

Fazit: Nicht die Kamera allein ist das Problem, sondern die fehlende Begrenzung

Der Fall Herta zeigt keinen einfachen Gegensatz zwischen «guter» europäischer und «schlechter» ausländischer Technologiepolitik. Die EU fördert biometrische Forschung, erlaubt bestimmte Einsatzfelder und beschränkt zugleich besonders eingriffsintensive Anwendungen. Indien baut parallel eine umfangreiche Sicherheitsinfrastruktur auf und führt sein Datenschutzrecht schrittweise ein, ohne bisher ein ähnlich enges Spezialregime für polizeiliche Live-Gesichtserkennung zu schaffen.

Genau daraus entsteht der Doppelstandard: Eine Fähigkeit, die Europa für seine eigenen öffentlichen Räume als grundsätzlich zu riskant einstuft, kann von einem europäischen Unternehmen in sehr viel grösserem Massstab an ausländische Behörden geliefert werden. Solange Exportkontrolle, Forschungsförderung und Menschenrechtsprüfung nicht enger zusammengedacht werden, bleibt der Schutz vor biometrischer Massenüberwachung stark vom Wohnort abhängig.

Quellen und weiterführende Informationen

Dieser Beitrag basiert auf der gemeinsamen Recherche von Investigate Europe und Partnerredaktionen sowie auf offiziellen Dokumenten und technischen Quellen. Schätzungen, nicht bestätigte Installationen und Aussagen von Unternehmen oder Geschäftspartnern sind im Text entsprechend gekennzeichnet.

1. Computer Weekly: Made in Spain – Surveillance tech banned in EU booms in India (15. Juli 2026)
2. Investigate Europe: Made in Spain – Surveillance tech banned in EU booms in India (Originalrecherche)
3. Eastern Railway: 540 FRS-Systeme an 143 Stationen in Betrieb
4. Herta Security: BioSurveillance NEXT für Menschenmengen und dynamische Umgebungen
5. RailTel: Vertragsangaben zum Video Surveillance System in der Eastern Region
6. Europäische Kommission: Navigating the AI Act – biometrische Identifikation und Fehlerrisiken
7. NIST: Demographic Effects in Face Recognition
8. Internet Freedom Foundation: Gesichtserkennung und Schwellenwerte bei der Polizei von Delhi
9. Europäische Kommission: AI Act und verbotene KI-Praktiken
10. EUR-Lex: Verordnung (EU) 2024/1689, insbesondere Artikel 5
11. Biometric Update: Herta und das spanische AI-Regulatory-Sandbox-Verfahren
12. Government of India / PIB: Digital Personal Data Protection Rules 2025
13. Ministry of Electronics and IT: DPDP Rules und Umsetzungsdokumente
14. Government of India / PIB: Umsetzung und Nutzung des Nirbhaya Fund
15. EUR-Lex: EU-Dual-Use-Verordnung und Cyberüberwachungsgüter